Die Datenschutz-Grundverordnung (DSGVO) betont die Verantwortlichkeit, die Unternehmen (auch „verantwortliche Stellen“ oder „Verantwortliche“ genannt) für die Einhaltung des Datenschutzes haben.
Unternehmen müssen nachweisen können, dass ihre Datenverarbeitung datenschutzkonform ist. Das soll durch umfangreiche Pflichten zur Dokumentation sichergestellt werden. Die Aufzeichnungen dienen als Nachweis gegenüber der Datenschutzaufsicht, bei gerichtlichen Kontrollverfahren oder für eine nachträgliche Information von Betroffenen. Eine erfolgreiche Umsetzung dieser Verpflichtung setzt die Entwicklung, Implementierung und Anwendung eines Datenschutz-Managementsystems voraus. Dabei müssen Verantwortliche eruieren, welche Dokumentationspflichten sie zu beachten haben. Außerdem müssen sie Umfang und Grenzen dieser Pflichten kennen und Prozesse einführen, die deren Einhaltung sicherstellen.
Die DSGVO kennt im Wesentlichen folgende Dokumentationspflichten:
- Art. 5 Abs. 2, Art. 24 Abs. 1 | Rechenschaftspflicht
- Art. 6 | Interessenabwägung, Zweckänderung
- Art. 7 | erteilte Einwilligungen
- Art. 8 | Einwilligung bei Kindern – Pflicht zur Altersverifikation
- Art. 12 ff. | Betroffenenrechte
- Art. 13, 14 | Erfüllung der Informationspflichten
- Art. 15 | Erfüllung der Auskunftsersuchen
- Art. 16 | Erfüllung des Rechts auf Berichtigung
- Art. 17 | Erfüllung des Rechts auf Löschung
- Art. 18 | Erfüllung des Rechts auf Einschränkung der Verarbeitung
- Art. 19 | Mitteilungspflicht an Dritte
- Art. 20 | Erfüllung des Rechts auf Datenübertragung (Datenportabilität)
- Art. 7 Abs. 3, Art. 13 Abs. 2, Art. 14 Abs. 2d | Widerruf einer Einwilligung
- Art. 21 | Ausübung des Widerspruchrechts
- Art. 24 | technisch-organisatorische Maßnahmen
- Art. 26 | Gemeinsame Verantwortliche (Joint Controllership)
- Art. 28 DSGVO | Vereinbarung über eine Auftragsverarbeitung (ADV)
- Art. 5 Abs. 1f, Art. 29, Art. 32 Abs. 4 | Beschäftigte als Weisungsempfänger, Verpflichtung zur Vertraulichkeit
- Art. 30 | Verzeichnis von Verarbeitungstätigkeiten
- Art. 32 DSGVO | Sicherheit der Verarbeitung
- Art. 33 | Meldung von Datenverletzungen
- Art. 34 | Meldung von Datenverletzungen an Betroffene
- Art. 35 | Datenschutz-Folgenabschätzung
- Art. 36 | vorherige Konsultation der Aufsicht
- Art. 37 | Benennung eines betrieblichen/behördlichen Datenschutzbeauftragten
- Art. 40 | Verhaltensregeln
- Art. 42 | Zertifizierung
- Art. 47 | verbindliche interne Datenschutzvorschriften
- Art. 49 Abs. 6 | Ausnahmen für bestimmte Fälle / Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen
